SPF, DKIM en DMARC: komen je e-mails aan?
Vul een domein in. We lezen de SPF-, DKIM- en DMARC-records en de MX-records uit de DNS, controleren ze zoals ontvangende mailservers dat doen en zeggen in gewone woorden wat ontbreekt of fout is, met voorbeeldrecords om in je DNS te plakken. Geen verbinding met je mailserver, er wordt niets opgeslagen.
Wat de resultaten betekenen
- SPF
- Een TXT-record met de servers die e-mail voor je domein mogen verzenden. Ontvangers vergelijken de server die verbinding maakt met deze lijst. Grenzen: één record, maximaal 10 DNS-lookups en een ~all of -all aan het einde. SPF alleen breekt bij doorsturen, en daarom bestaat DKIM.
- DKIM
- Je mailserver ondertekent elk bericht met een privésleutel; de publieke sleutel staat op selector._domainkey.jouwdomein. Ontvangers controleren de handtekening, die doorsturen overleeft. Gebruik RSA-sleutels van 2048 bits en wissel ze af en toe.
- DMARC
- Een TXT-record op _dmarc.jouwdomein dat ontvangers vertelt wat ze moeten doen als SPF en DKIM mislukken (none, quarantine, reject) en waar ze rapporten naartoe sturen. Uitlijning betekent dat het domein in de From-header moet overeenkomen met het SPF- of DKIM-domein. Begin met p=none, lees de rapporten, scherp dan aan.
- MX
- De servers die e-mail voor het domein ontvangen. Niet nodig om te verzenden, maar de grote ontvangers wantrouwen domeinen zonder MX-record; en zonder komen antwoorden terug.
- Waarom het telt
- De grote mailboxproviders eisen SPF of DKIM van iedereen en DMARC van afzenders met grote volumes; zonder belandt e-mail in de spam of wordt ze geweigerd. Dezelfde records voorkomen dat anderen phishingmails uit jouw naam sturen.
- Zo blijft het goed
- Records veranderen als je een nieuwsbrieftool toevoegt, van hosting wisselt of sleutels rouleert. Centoculus controleert SPF, DKIM, DMARC, MTA-STS en DNSSEC van je domein elk uur en waarschuwt je als er iets verandert; de bezorgcontrole van e-mail stuurt ook een testbericht en vertelt waar het is beland.
Wil je deze controle automatisch, met een melding zodra er iets mis is?
Met het gratis plan controleert Centoculus je website elke 5 minuten en waarschuwt je per e-mail en in de app voordat je klanten het merken. 50 monitors voor websites en 5 SSL-controles per dag, gratis, zakelijk gebruik toegestaan. De registratie gaat binnenkort open: vraag vroege toegang aan en begin als eerste.
Vroege toegang aanvragenVragen over SPF, DKIM en DMARC
Wat is het verschil tussen SPF, DKIM en DMARC?
SPF zegt welke servers voor je domein mogen verzenden. DKIM bewijst met een handtekening dat een bericht niet is gewijzigd en echt van je server komt. DMARC koppelt beide aan het zichtbare From-adres en vertelt ontvangers wat ze moeten doen als ze mislukken. Je hebt alle drie nodig.
Wat is een DKIM-selector en waar vind ik hem?
De selector geeft de sleutel in de DNS zijn naam: selector._domainkey.jouwdomein. Je e-mailprovider noemt de naam als je DKIM instelt (Google gebruikt “google”, Microsoft 365 “selector1” en “selector2”). Je kunt hem ook aflezen in de header DKIM-Signature van elke e-mail die je hebt verzonden: de tag s=.
Waarom heeft SPF een limiet van 10 lookups?
Elke include, a, mx, ptr, exists en redirect dwingt de ontvanger tot een DNS-lookup. De standaard beperkt dat tot 10 per controle om misbruik te voorkomen. Boven de limiet geeft de ontvanger een permanente fout, die de meeste als mislukking behandelen. Providers die veel lookups nodig hebben, bieden een afgeplatte include aan.
Moet ik ~all of -all gebruiken?
-all zegt ontvangers e-mail van andere servers te weigeren, ~all om ze als verdacht te behandelen. Met DMARC op quarantine of reject is het verschil klein, omdat DMARC beslist. Begin met ~all tot je zeker weet dat je elke afzender hebt opgenomen, ga dan naar -all.
Met welk DMARC-beleid begin ik?
p=none met een rua-adres. Lees de rapporten een paar weken, voeg elke legitieme afzender toe aan SPF en DKIM, ga dan naar p=quarantine en ten slotte naar p=reject. Meteen naar reject springen blokkeert meestal een nieuwsbrieftool of een CRM waar niemand meer aan dacht.
Hoe lang duurt het voordat DNS-wijzigingen actief zijn?
Meestal een paar minuten, hooguit de TTL van het oude record (vaak tot 24 uur). Voer deze controle na de wijziging opnieuw uit: ze leest de DNS elke keer opnieuw.
Mijn records zijn in orde, maar de e-mails belanden toch in de spam.
Authenticatie is alleen het toegangskaartje. Ook de inhoud, de kwaliteit van de lijst, het aantal klachten en de reputatie van het verzendende IP tellen. Controleer of het verzendende IP op een blocklist staat en of de reverse DNS overeenkomt met de naam van de mailserver.